El futuro Esquema Europeo de Certificación de Criterios Comunes

El Reglamento sobre la Ciberseguridad de 2019 regula, además del funcionamiento de la Agencia Europea para la Ciberseguridad (ENISA), la certificación de la ciberseguridad de las tecnologías de la información y la comunicación, dada la creciente criticidad de las mismas para la sociedad digital.

El Reglamento reconoce que la certificación de la ciberseguridad de los productos, servicios y procesos de TIC se utiliza solo en medida limitada, existiendo principalmente a nivel de los Estados miembros (como sucede, por ejemplo, con el Esquema Nacional de Seguridad español, aprobado por RD 311/2022, de 3 de mayo, o con el Esquema Nacional de Evaluación y Certificación de Seguridad de las Tecnologías de la Información del Centro Criptológico Nacional, previsto en el RD 421/2004) o en el marco de esquemas impulsados por la industria, por lo que un certificado expedido por una autoridad nacional de certificación de la ciberseguridad no necesariamente es reconocido por los demás Estados miembros.

Esto resulta problemático desde la perspectiva del mercado interior de la Unión, especialmente del mercado único digital, porque puede obligar a las empresas a tener que certificar sus productos, servicios y procesos TIC en los distintos Estados miembros en que operen, en particular para participar en procedimientos de contratación nacionales, con el correspondiente aumento de sus costes. Asimismo, los esquemas existentes presentan deficiencias significativas y diferencias en cuanto a cobertura de productos, niveles de garantía, criterios sustantivos y utilización real, lo que crea dificultades a los mecanismos de reconocimiento mutuo dentro de la Unión; algo que ha quedado puesto de manifiesto en las experiencias existentes en orden a la certificación de la seguridad, significativamente el Acuerdo de Reconocimiento Mutuo (ARM) del Grupo de altos funcionarios sobre seguridad de los sistemas de información (SOG-IS), que se utiliza en relación con dispositivos de creación de firma electrónica, como el DNI electrónico, o los tacógrafos digitales, al amparo de normativas sectoriales.

Para resolver esta problemática, el Reglamento establece un marco europeo de certificación de la ciberseguridad que establezca los principales requisitos horizontales para desarrollar esquemas europeos de certificación de la ciberseguridad y permita que los certificados de ciberseguridad europeos y las declaraciones de conformidad de la UE de productos, servicios o procesos de TIC sean reconocidos y usados en todos los Estados miembros.

Los objetivos de este marco europeo de certificación de la ciberseguridad son contribuir a aumentar la confianza en los productos, servicios y procesos de TIC que hayan sido certificados con arreglo a los esquemas europeos de certificación de la ciberseguridad; evitar la multiplicación de los esquemas de certificaciones nacionales de la ciberseguridad contradictorias o redundantes; y reducir los costes para las empresas que operan en el mercado único digital. Asimismo, los esquemas europeos de certificación de la ciberseguridad deben ser no discriminatorios y basarse en normas internacionales o europeas, a menos que dichas normas resulten ineficaces o inadecuadas para alcanzar los objetivos legítimos de la Unión al respecto.